Sicherheit und Nachweise.
Was Einkauf, Datenschutz, IT-Sicherheit und Betriebsrat wissen wollen, an einem Ort, damit Sie nicht erst nachfragen müssen.
Zertifizierungen
- ISO 9001:2015 für Qualitätsmanagement und ISO 27001:2022 für Informationssicherheit, extern zertifiziert
- Zertifikat-Register-Nr. 260508 8 IMS
- Der Geltungsbereich umfasst Entwicklung und Betrieb eigener HR-Tech-Plattformen, ganzheitliche HR-IT-Lösungen und Beratung über den gesamten HR-IT-Lebenszyklus
Von Konzernen geprüft
- Provider-Sicherheitsprüfungen (IT Security Self-Assessment) von DAX-Konzernen bestanden
- Technische und organisatorische Maßnahmen als Vertragsanlage
- Transfer Impact Assessment als Vertragsanlage
- Rahmenvertrag über Softwareüberlassung (ASP/SaaS) im Konzernumfeld etabliert
Hosting und Datenlage
- Betrieb in Deutschland, ausschließlich innerhalb der EU
- Verträge nach deutschem Recht, Support in vier Sprachen, Mo bis Fr von 9 bis 17 Uhr MEZ
- Mandantentrennung: Daten verschiedener Auftraggeber sind logisch getrennt
- Regelmäßige Penetrationstests durch externe Prüfer
- Sicherung und Wiederanlauf sind vertraglich geregelt
- Sicherheitsvorfälle melden Sie an support@flynne.de
Datenschutz von Anfang an
- Auftragsverarbeitungsvertrag nach Art. 28 DSGVO
- Zugangslinks statt Kandidatenkonten: Bewerber legen kein Konto und kein Passwort an
- Dokumentierte Löschkonzepte mit Fristen je Datenart
- Datentrennung vom Bewerbermanagement: flynne hält nur, was für das Verfahren nötig ist
Zeitgesteuerte Zugriffe
- Psychologen sehen Kandidatenunterlagen erst drei Tage vor dem Termin
- Beobachter erst fünf Tage vorher, und erst nach Bestätigung ihrer Unbefangenheit
- Diese Fristen sind unser Standardprofil und werden bei der Einrichtung auf Ihre Vorgaben gesetzt, aus Betriebsvereinbarung, Datenschutzkonzept oder gewachsener Praxis
- Rollenbasierte Rechte: jede Rolle sieht ausschließlich, was ihre Aufgabe erfordert
- Der Kandidatenzugang endet nach der Teilnahme; Ergebnisse bleiben nach den Fristen unten erhalten
Nachweisbarkeit
- Revisionssicheres Aktivitätsprotokoll: jede Aktion mit Person, Zeitpunkt und Vorgang
- Nachweise für AGG-Prüfungen, Rechnungshöfe und Konkurrentenklagen
- Standardisierung nach DIN 33430 im Werkzeug hinterlegt
Versicherungsschutz
- Betriebs- und Berufshaftpflichtversicherung, einschließlich Software- und IT-Dienstleistungen sowie Datenschutzrisiken
- Cyber-Versicherung
- Rechtsschutzversicherung für Firmen
- Vermögensschaden-Haftpflichtversicherung für die Geschäftsleitung (D&O)
- Abgeschlossen bei der Allianz
Mitbestimmung
- Betriebsratsverfahren in einem Konzern vollständig durchlaufen
- Erfahrung mit den Fragen, die Gremien tatsächlich stellen
- Auslastung ist sichtbar; dass sie nicht zur Leistungsbewertung genutzt wird, sichern wir vertraglich zu
Künstliche Intelligenz
- flynne bewertet keine Menschen, die Eignungsentscheidung trifft immer ein Mensch
- KI arbeitet in der Organisation, nicht im Urteil
- Jede KI-Aktion landet im selben Protokoll wie jede menschliche Aktion
- Einordnung zum EU AI Act auf einer eigenen Seite
Wie flynne mit künstlicher Intelligenz umgeht, steht ausführlich in den KI-Grundsätzen. Die Verarbeitung personenbezogener Daten beschreibt die Datenschutzerklärung.
Wie eine Prüfung bei uns abläuft
Die häufigste Unsicherheit im Erstkontakt ist nicht, ob wir liefern können, sondern wann was kommt.
Erstgespräch
Meist mit Fachbereich und IT gemeinsam. Danach wissen Sie, ob flynne fachlich passt, und wir, welche Prüfstellen bei Ihnen beteiligt sind. Ohne diese Information planen beide Seiten am falschen Ende.
Fragebogen
Sie schicken Ihren InfoSec- oder Provider-Fragebogen, wir füllen ihn aus. Diese Runde dauert bei uns Tage, nicht Wochen, wir haben sie mehrfach durchlaufen.
Rückfragen und Nachweise
Fast immer bleiben Punkte offen, die kein Fragebogen abdeckt: eine Betriebsvereinbarung, die bestimmte Zugriffsfristen verlangt, eine Vorgabe zur Aufbewahrung, ein Sonderfall in der Mandantentrennung. Diese Punkte klären wir schriftlich, nicht im Telefonat, sie landen später in der Vertragsanlage.
Vertrag und Einrichtung
Was in der Prüfung vereinbart wurde, wird bei der Einrichtung eingestellt: Zugriffsfristen, Rollen, Löschfristen, Aufbewahrung. Das ist der Punkt, an dem aus Zusagen Konfiguration wird, und der Grund, warum wir die Prüfung nicht dem Vertrieb allein überlassen.
Wer außer uns beteiligt ist
Die Frage nach Unterauftragsverarbeitern steht in jedem Fragebogen, und wird von Anbietern gern ausweichend beantwortet.
Die Liste ist Vertragsanlage
Jeder Dienst, der an der Verarbeitung beteiligt ist, steht namentlich in der Anlage zum Auftragsverarbeitungsvertrag, mit Sitz, Zweck und Rechtsgrundlage. Sie bekommen sie vor der Unterschrift, nicht danach.
Nur innerhalb der EU
Verfahrens- und Kandidatendaten werden ausschließlich in der EU verarbeitet. Ein Unterauftragsverarbeiter außerhalb der EU käme für diese Daten nicht in Frage, das ist keine Absicht, sondern Voraussetzung dafür, dass die Aussage zum Hosting trägt.
Änderungen werden angekündigt
Kommt ein Dienst hinzu oder wird gewechselt, informieren wir vorher und Sie können widersprechen. So steht es im Auftragsverarbeitungsvertrag, und so ist es in Art. 28 DSGVO vorgesehen.
Was nicht dazugehört
Kein Analysedienst, der Kandidatenverhalten auswertet. Kein externer Dienst, der Beurteilungen verarbeitet. Kein Anbieter, der Daten für eigene Zwecke oder zum Training von Modellen nutzt.
Worauf Sie sich verlassen können
flynne wird in Mainz im schönen Rheinland-Pfalz entwickelt und betrieben. Sie sprechen mit den Menschen, die das System bauen, nicht mit einer Hotline. Und worauf Sie sich verlassen können, steht schriftlich.
Ihre Daten gehören Ihnen
Sie können jederzeit einen vollständigen Export verlangen, in offenen, maschinenlesbaren Formaten. Am Ende löschen wir und bestätigen es schriftlich.
Kein Automatismus
Ein Pilot endet nach 90 Tagen von selbst. Ein Vertrag entsteht nur, wenn Sie ihn unterschreiben.
Geprüfter Betrieb
Die Brandmonks GmbH ist als Betreiberin nach ISO 9001:2015 und ISO 27001:2022 zertifiziert, Register-Nr. 260508 8 IMS. Der Betrieb läuft in Deutschland, ausschließlich innerhalb der EU.
Deutscher Vertragspartner
Verträge nach deutschem Recht, Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.
Diese Zusagen gelten auch im Pilot-Assessment: ein echtes Assessment über 90 Tage, ohne Jahresbindung. Pilot-Assessment ansehen
Wenn etwas passiert
Kein Anbieter kann Vorfälle ausschließen. Prüfbar ist, was dann geschieht, und in welcher Reihenfolge.
Wer informiert wird
Sie als Verantwortlicher, unverzüglich. Das ist keine Kulanz, sondern Art. 33 Abs. 2 DSGVO: Der Auftragsverarbeiter meldet dem Verantwortlichen, der Verantwortliche der Aufsichtsbehörde. Die 72-Stunden-Frist gegenüber der Behörde läuft für Sie, deshalb hat unsere Meldung an Sie Vorrang vor unserer eigenen Aufarbeitung.
Was die Meldung enthält
Was passiert ist, welche Datenarten betroffen sind, wie viele Betroffene, welche Sofortmaßnahmen liefen und was noch offen ist. Auch dann, wenn manches noch offen ist, eine späte vollständige Meldung ist schlechter als eine frühe unvollständige.
Was das Protokoll leistet
Im Aktivitätsprotokoll steht, wer wann welche Daten gesehen oder geändert hat. Bei der Frage, welche Betroffenen zu informieren sind, ist das der Unterschied zwischen einer Auskunft und einer Schätzung.
Wer der Ansprechpartner ist
Ein benannter Mensch mit Telefonnummer, kein Ticketformular. Bei einem Vorfall ist die erste Frage, wen man erreicht, und die zweite, ob derjenige entscheiden darf.
Fragen aus dem Einkauf
Dürfen wir Sie auditieren?
Ja, das ist in Art. 28 DSGVO ohnehin vorgesehen und im Auftragsverarbeitungsvertrag geregelt. In der Praxis fragen die meisten Häuser zuerst die Unterlagen und Zertifikate ab und behalten sich ein Audit vor. Wenn Sie eines durchführen wollen, klären wir Umfang und Termin vorher, ein unangekündigtes Audit in einem Mehrmandantensystem ginge nicht, ohne andere Auftraggeber zu berühren.
Was passiert mit unseren Daten am Vertragsende?
Sie entscheiden zwischen Rückgabe und Löschung, beides ist im Auftragsverarbeitungsvertrag geregelt und wird dokumentiert. Praktisch wichtig ist der Zeitpunkt: Aufbewahrungspflichten für Auswahlverfahren können über das Vertragsende hinausreichen, etwa für AGG-Fristen oder Vergabedokumentation. Diese Fristen stellen wir bei der Einrichtung nach Ihren Vorgaben ein, damit sie nicht im letzten Monat verhandelt werden müssen.
Wer bei Ihnen kann auf unsere Daten zugreifen?
Zugriff besteht rollenbasiert und zweckgebunden, für Support und Betrieb, protokolliert wie jeder andere Zugriff. Ein Zugriff ohne Anlass ist keine Frage von Vertrauen, sondern von Konfiguration, und im Aktivitätsprotokoll sichtbar. Die konkrete Ausgestaltung steht in den technischen und organisatorischen Maßnahmen.
Ist flynne für Vergabeverfahren geeignet?
Die Standardanforderungen aus öffentlichen Vergaben können wir belegen: EU-Betrieb, deutscher Vertragspartner, Zertifikate, Nachweisbarkeit der Verfahren, Barrierefreiheitserklärung. Für BITV-Anforderungen prüfen wir den konkreten Umfang im Einzelfall, eine pauschale Konformitätszusage wäre unseriös, weil sie von den geprüften Funktionen abhängt.
Bereit für Assessments, die einfach laufen?
Sagen Sie uns kurz, wie Sie heute Assessments durchführen. In 30 Minuten zeigen wir Ihnen, wie flynne dabei hilft.
Wir antworten innerhalb eines Arbeitstages.